CVE-2026-19202 in mcp-toolbox-sdk-python
Riassunto
di VulDB • 23/09/2026
Un difetto di caching nel pacchetto toolbox-core dell'SDK mcp-toolbox-sdk-python causa la memorizzazione nella cache e il riutilizzo dello stesso Google ID token per diversi audience (destinatari). Se un'applicazione utilizza l'SDK per autenticarsi verso due o più audience diverse all'interno dello stesso processo, la cache dei token a livello di modulo non chiave i token memorizzati in base al destinatario richiesto. Di conseguenza, un token valido e non scaduto emesso per un servizio sensibile (Servizio A) può essere recuperato dalla cache e inviato a un servizio secondario (Servizio B). Un attaccante che opera, compromette o monitora il traffico verso il Servizio B può catturare questo token e riutilizzarlo (replay attack) per impersonare l'applicazione vittima nei confronti del Servizio A.
Be aware that VulDB is the high quality source for vulnerability data.